Het Hof van Justitie heeft op 6 oktober 2020 een principieel arrest gewezen over het in bulk doorgeven van communicatiegegevens aan geheime diensten. In het arrest worden ook diverse algemene principes rondom privacy gegeven. In dit blog een korte eerste toelichting.
In bulk verzamelen van gegevens
De zaak gaat in de kern over het in bulk verzamelen van gegevens door diverse veiligheidsdiensten en geheime diensten in het Verenigd Koninkrijk. Diverse belangenclubs zijn een procedure daarover in Engeland gestart.
Gedurende die procedure komt de vraag op of de Engelse regelgeving wel in overeenstemming is met regelgeving van de EU. Zodoende belandt de kwestie uiteindelijk bij het Europees Hof van Justitie.
Genuanceerde kwestie, eerste blik
Het arrest van het Europees Hof is lang (12.000+ woorden) en genuanceerd. In de blog geef ik slechts mijn eerste indruk na eerste lezing.
De vragen die spelen
In de kwestie spelen, vrij samengevat, in de kern de volgende twee vragen:
- vallen de regels die Engels providers verplichten om gegevens in bulk door te geven aan de overheidsdiensten überhaupt onder EU-recht; en
- zo ja, is die regelgeving dan in overeenstemming met dat EU-recht?
EU-recht en uitzonderingen
De eerste vraag gaat in feite over wat precies onder het Unierecht valt en wat niet. Dat is een vraag die vaker speelt in het Europese recht en veelal zien we het Hof de uitzonderingen daarop beperkt interpreteren (of omgekeerd gezegd: de scope van het EU-recht ruim interpreteren). Dat gebeurt ook hier.
Het werk van geheime diensten valt, in de kern, buiten het domein van het EU-recht. Providers zijn echter zelf geen geheime diensten. Regels die providers verplichten om gegevens in bulk door te geven aan de geheime diensten vallen dus "gewoon" onder het EU-recht. Anders zouden de strikt uitzonderingen op het EU-recht ook wel erg gemakkelijk steeds verder opgerekt kunnen worden.
Belang van geheimhouding en uitzonderingen daarop
Het Hof benadrukt dat op grond van de eprivacyregels de vertrouwelijkheid van communicatie het uitgangspunt is. Dat uitgangspunt is niet alleen zo belangrijk vanwege de privacy, maar ook bijvoorbeeld de vrijheid van meningsuiting. In de basis moeten burgers er op kunnen vertrouwen in vrijheid te kunnen communiceren via telecommunicatievoorzieningen.
Afwijkingen op die hoofdregel moeten de uitzonderingssituatie blijven. Wanneer de afwijking de norm wordt, is het geen uitzondering meer (maar juist de hoofdregel geworden).
Afwijkingen op grondrechten vereisten een wettelijke basis en die wettelijke basis moet duidelijke en precieze regels en minimum waarborgen omvatten. Ook moeten EU-beginselen als proportionaliteit in acht worden genomen. De diverse grondrechten die spelen moeten allemaal worden bezien, waarbij geen daarvan absoluut is. De noodzaak voor (meer gedetailleerde) waarborgen wordt groter navenant het risico op misbruik van gegevens groter wordt. Verkeersgegevens en locatiegegevens zijn bovendien per definitie gevoelig.
Tegelijkertijd is het wel dat indien daadwerkelijk issues rondom nationale veiligheid spelen, die issues vergaande inbreuken op grondrechten kunnen rechtvaardigen.
Het in bulk en ongefilterd doorgeven van gegevens is echter te grofmazig. De wetgeving die daartoe verplicht is dus in strijd met EU-recht.
Slotopmerking
Het arrest is niet alleen voor ISP's en dergelijke relevant. Het Hof geeft juist, andermaal, een vrij strikt kader rondom inbreuken op de persoonlijke levenssfeer de verwerking van persoonsgegevens. Er is veel meer wetgeving denkbaar die aan dit kader getoetst kan gaan worden. Vandaar ook dat ik voor nu maar vast schrijf: "wordt vervolgd". Al was het maar omdat ik wellicht op een nader moment nog wel een iets genuanceerdere duiding ga geven.
